Las pérdidas por envenenamiento de direcciones se multiplicaron por 13 tras Fusaka

En mi artículo anterior, quise averiguar qué causó la actividad récord en la red Ethereum, y resultó que el 80 % del crecimiento fue spam de envenenamiento de direcciones, hecho económicamente atractivo por la actualización Fusaka, que redujo las tarifas de gas 6 veces. En ese momento, solo contaba con datos limitados que respondían a la pregunta de qué había detrás del crecimiento.

En este artículo, investigué cómo creció el envenenamiento de direcciones en general y cuáles fueron los resultados reales de estos ataques. ¿Cuál es el daño total?

Para responder a esta pregunta, construí un sistema de detección que escanea la cadena de bloques de Ethereum desde el 1 de septiembre de 2025 hasta el 13 de febrero de 2026, cubriendo 93 días antes de Fusaka y 73 días después. Rastrea las transferencias de importes ínfimos en 101 tokens e identifica los pagos confirmados.

Antes de Fusaka, los atacantes enviaban un promedio de 30 000 transacciones de importes ínfimos por día. Después de la actualización, esto se disparó a 167 000 por día, un aumento de 5,6 veces.

El pico de enero alcanzó las 510 000 transacciones en un solo día. Incluso excluyendo ese pico, el nivel sostenido posterior a Fusaka se mantiene entre 150 000 y 200 000 transacciones diarias.

El gráfico muestra una clara correlación inversa entre el precio del gas y el volumen de ataques de importes ínfimos. Las dos variables se mueven juntas continuamente: cuando el gas sube, la producción de importes ínfimos baja; cuando el gas baja, la producción de importes ínfimos sube. Esta relación dosis-respuesta es un fuerte indicador de que el vínculo es causal en lugar de coincidente.

Debido a que los atacantes ajustan su producción día a día en proporción al costo del gas, los datos descartan la posibilidad de que ambas tendencias cambiaran aproximadamente al mismo tiempo por razones no relacionadas.

Además, la precisión a nivel de día de esta correlación probablemente significa que el software de envenenamiento tiene un umbral de precio del gas incorporado que regula la intensidad del ataque automáticamente. Tales configuraciones son comunes tanto en bots legítimos como maliciosos de Ethereum.

El número de carteras únicas que recibieron importes ínfimos de envenenamiento aumentó de 12 000 por día a 38 000 por día, un aumento de 3,1 veces.

Comparando ventanas iguales de 73 días antes y después de Fusaka:

• Pre-Fusaka (21 de septiembre – 2 de diciembre): 4,9 millones de dólares robados
• Post-Fusaka (3 de diciembre – 13 de febrero): 63,3 millones de dólares robados

Esto representa un aumento de 13 veces en los fondos robados y un aumento de 2,6 veces en los eventos de pago exitosos.

Una transferencia representa una gran parte del total posterior a Fusaka: 50 millones de dólares en USDT el 19 de diciembre. Excluyéndola, el total posterior a Fusaka sigue siendo de 13,3 millones de dólares, un aumento de 2,7 veces con respecto a la tasa anterior a Fusaka.

El vínculo entre las tarifas bajas y el volumen de ataques ya estaba documentado antes de Fusaka.

• Un estudio de la Universidad Carnegie Mellon publicado diez meses antes de la actualización encontró «una mayor prevalencia de ataques en cadenas con tarifas de transacción más bajas».
• Siete meses antes de la actualización, Jameson Lopp de Casa concluyó que el envenenamiento de direcciones solo es económicamente factible en entornos de bajas tarifas.
• Un estudio de Penn State publicado tres meses antes de Fusaka probó 53 carteras de Ethereum y encontró que la mayoría no advertía a los usuarios sobre las transferencias de envenenamiento.

A pesar de esto, la Fundación Ethereum procedió con la actualización Fusaka.

El envenenamiento de direcciones no es el único tipo de ataque cuya economía depende del costo del gas. Los ataques sándwich, los airdrops de tokens falsos, los bots de barrido en carteras comprometidas y los drenajes masivos de aprobación se vuelven más rentables a medida que bajan las tarifas.

Metodología

El detector se ejecuta como una única canalización SQL en el conjunto de datos público de Ethereum de Google BigQuery. Primero identifica todas las transferencias legítimas de ERC-20 y ETH ≥ 1 $ y extrae una huella digital para cada dirección de destinatario (los primeros 3 + los últimos 4 caracteres hexadecimales). Luego detecta el envenenamiento haciendo coincidir direcciones similares con estas huellas digitales: transferencias de ERC-20 de valor cero iniciadas por terceros, y transferencias de importes ínfimos de ERC-20 o ETH < 1 $ enviadas a las víctimas dentro de una ventana de 300 bloques. Un pago confirmado es cualquier transferencia posterior de ERC-20 o ETH ≥ 10 $ de la víctima a una dirección similar.

Los gráficos de este artículo muestran solo la actividad de transferencia de importes ínfimos, ya que las transferencias de importes ínfimos son el principal vector de ataque medible. Las transferencias de valor cero no se muestran en los gráficos, pero el detector las utiliza internamente para construir un mapa completo de pares de direcciones de víctima a dirección similar.

Los 101 tokens se valoran utilizando instantáneas semanales (23 fechas). Las direcciones de contrato se excluyen del grupo de víctimas. La canalización también filtra las direcciones de quema, las autotransferencias, las transferencias no iniciadas por la víctima y los casos en los que la dirección similar era un destinatario legítimo conocido antes del evento de envenenamiento. Una dirección de bot que generó miles de microtransferencias automatizadas a direcciones envenenadas se excluyó de las estadísticas de pago.

El detector subestima tanto los ataques como los pagos. Solo detecta el envenenamiento contra direcciones que realizaron al menos una transferencia ≥ 1 $ durante el período de estudio, y solo rastrea 101 tokens. La cifra de 63,3 millones de dólares es un límite inferior confirmado. Sin embargo, las pruebas con varias muestras de tokens fuera de la lista blanca mostraron que los ataques que involucran tokens no listados representan menos del 1 % del total.

Este estudio rastreó dos tipos de transferencias de envenenamiento: transferencias de importes ínfimos y transferencias de valor cero. También hay otros tipos, incluidas las transferencias de tokens falsificados, las transferencias de ETH falsas y las variantes basadas en aprobación. No las incluí porque construir tales consultas es significativamente más complejo y ejecutarlas en BigQuery es costoso. Las transferencias de importes ínfimos y de valor cero son suficientes para ver el panorama completo, porque los atacantes suelen combinar varios métodos diferentes contra el mismo objetivo, y los casos en los que una víctima recibe solo una transferencia de token falsificado sin envenenamiento de importes ínfimos o de valor cero que la acompañe son raros.